Утечка данных West Pharmaceutical Services в 2026 году

В пункте 1.05 документа Form 8-K компании West Pharmaceutical Services прямо говорится, что компания подверглась существенной кибератаке, в ходе которой были похищены определённые данные и зашифрована часть систем. Это не заявление злоумышленника, а официальное раскрытие информации публичной компанией федеральному регулирующему органу. Согласно документу, вторжение было впервые обнаружено 4 мая, а решение о существенности инцидента принято 7 мая.

13 мая BleepingComputer в независимой публикации сообщил о раскрытии информации для SEC, нарушении работы компании по всему миру и подробностях ответных мер, предоставленных представителем компании. В документе Form 10-Q за второй квартал, поданном 23 июля, West вновь описала майскую атаку и сообщила, что инцидент был локализован, а работа полностью восстановлена. В совокупности эти три источника в достаточной степени подтверждают кражу данных, шифрование систем, первоначальные последствия и итоговое состояние операционной деятельности.

Обнаружив вторжение в сеть 4 мая, компания задействовала свои протоколы реагирования на инциденты. В качестве превентивной меры затронутые части локальной инфраструктуры были отключены и изолированы, доступ к корпоративным системам ограничен, правоохранительные органы уведомлены, а к работе привлечены внешние специалисты по компьютерной криминалистике. West также привлекла Palo Alto Networks Unit 42 для содействия расследованию, локализации инцидента и восстановлению наряду с другими экспертами и юридическими консультантами.

В документе, поданном в SEC, говорится, что злоумышленник вывел определённые данные из сети и зашифровал часть систем. Эти два подтверждённых факта отличают инцидент от обычного сбоя или неудачной попытки доступа. West не раскрыла способ первоначального проникновения, использованное вредоносное ПО, время пребывания злоумышленника в сети и то, предъявлялось ли требование выкупа, поэтому предположения об этих обстоятельствах в запись не включены.

Самая конкретная формулировка, которую позволяют использовать официальные документы, «определённые данные». Компания публично не сообщала, состоял ли этот массив из файлов, электронной почты, коммерческих документов, персональных данных или содержимого иного типа. Она заявила, что предприняла шаги, направленные на снижение риска распространения похищенных данных, но не уточнила, какие именно меры были приняты и были ли данные опубликованы.

West производит упаковку для инъекционных препаратов, компоненты флаконов и шприцев, системы хранения лекарственных препаратов и устройства для их введения; сам по себе этот профиль деятельности не свидетельствует об утечке данных пациентов или сведений о здоровье. Численность сотрудников, клиентская база, выручка, количество производственных площадок и объём производства не являются показателями масштаба утечки.

Инцидент и превентивное отключение систем компанией временно нарушили её работу по всему миру. Согласно заявлению от 11 мая, основные корпоративные системы были восстановлены, а критически важные процессы отгрузки, приёмки и производства возобновились на некоторых площадках, тогда как на остальных восстановление продолжалось. West сообщила, что задействовала планы обеспечения непрерывности бизнеса и работала с клиентами, чтобы снизить риски и свести задержки к минимуму.

В документе Form 10-Q, охватывающем период по 30 июня и поданном 23 июля, указано, что инцидент был локализован, а работа полностью восстановлена. В нём расходы на профессиональные услуги, связанные с майским инцидентом, объединены с расходами по различным юридическим вопросам, поэтому по этой статье невозможно рассчитать точные затраты только на данный инцидент.

Похищение данных с последующим шифрованием систем напоминает схему двойного вымогательства, используемую при атаках с применением программ-вымогателей, и в некоторых публикациях событие описывалось именно как такая атака. Однако в документе West для SEC оно названо «существенной кибератакой», при этом не подтверждаются имя или название атакующей стороны, семейство программ-вымогателей либо требование о выплате выкупа. BleepingComputer сообщил, что на момент публикации его материала ни одна группировка вымогателей не взяла на себя ответственность.

Поэтому запись содержит подтверждённые технические действия, похищение данных и шифрование систем, без отнесения их к конкретной программе-вымогателю или злоумышленнику. Сведения из любых последующих публикаций на сайтах утечек не используются для определения числа затронутых лиц или категорий данных, если они не подтверждены компанией либо независимыми техническими доказательствами. Это позволяет отделить реальную утечку, подтверждённую компанией, от заявлений злоумышленника, сделанных в целях саморекламы.

Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по общедоступным источникам. Подтверждённое событие, вывод неуточнённых данных из сети West, шифрование части систем и временное нарушение работы компании по всему миру. К июлю инцидент был локализован, а работа полностью восстановлена.

Организация не опубликовала проверяемых сведений об общем числе затронутых лиц или записей. Отсутствие раскрытых данных о количестве не означает, что инцидент не имел последствий; оно означает, что общедоступные источники не позволяют достоверно установить общее число. Если West впоследствии опубликует сведения о количестве уведомлений или конкретных категориях данных, запись можно будет обновить после проверки этих фактов по первоисточникам.